CVE-2024-10802: luka w wtyczce Hash Elements umożliwiająca nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka Hash Elements dla WordPressa posiada lukę pozwalającą nieautoryzowanym użytkownikom na dostęp do tytułów szkiców postów, które normalnie nie powinny być dostępne. Problem wynika z braku sprawdzenia uprawnień w funkcji hash_elements_get_posts_title_by_id() we wszystkich wersjach do 1.4.7 włącznie.

Wpływ biznesowy

Luka może prowadzić do ujawnienia poufnych informacji zawartych w tytułach szkiców postów, co może naruszyć prywatność i bezpieczeństwo treści publikowanych na stronach opartych na WordPress z zainstalowaną wtyczką Hash Elements. Operatorzy powinni rozważyć ryzyko wycieku danych oraz potencjalne konsekwencje reputacyjne i operacyjne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Hash Elements u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego i monitorować logi pod kątem podejrzanych prób dostępu. Priorytetowo należy ocenić ekspozycję serwisu i wprowadzić dodatkowe mechanizmy kontroli dostępu, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference